Diese Seite wurde maschinell übersetzt.
Füllen Sie bitte eine 1-Minuten-Befragung zur Qualität dieser Übersetzung aus.
MathWorks Insights
Autoren:
9 Minuten Lesezeit
Mit der Veröffentlichung der EN 50716:2023 durch CENELEC steht der Eisenbahnindustrie ein einheitlicher europäischer Standard zur Verfügung, der die Softwareentwicklung sowohl für Gleis- als auch für Bordanwendungen von Schienenfahrzeugen regelt. Dieser im November 2023 veröffentlichte Standard legt konsolidierte Anforderungen an sicherheitskritische und betriebstechnische Software fest, die in modernen Eisenbahnsystemen eingesetzt wird.
Vor der EN 50716 wurden diese Bereiche separat durch die EN 50128 (für Kommunikations-, Steuerungs- und Schutzsysteme) und die EN 50657 (für Software für Schienenfahrzeuge) abgedeckt. EN 50716 hebt die früheren Normen ausdrücklich auf und ersetzt sie, wodurch Konsistenz geschaffen, Redundanzen reduziert und Prozesse in allen Bahnanwendungen aufeinander abgestimmt werden.
Gemäß EN 50716 wird das erforderliche Softwareintegritätsniveau auf Systemebene bestimmt und bewertet, basierend auf dem Systemsicherheitsintegritätsniveau (SIL) und dem Risiko, das mit der Verwendung der Software innerhalb des Systems verbunden ist (EN 50126). Die Softwareintegrität wird als eine von fünf definierten Stufen spezifiziert, die von Basic Integrity (niedrigste Stufe) bis SIL 4 (höchste Stufe) reichen.
Abbildung 1: Verhältnis zwischen EN 50716 und den ersetzten Normen EN 50128 (für Anwendungen entlang der Gleise) und EN 50657 (für Anwendungen an Bord).
Unter Beibehaltung der Kontinuität mit EN 50128 und EN 50657 führt EN 50716 Elemente ein, die eine wesentliche Modernisierung der Erwartungen an die Softwareentwicklung im Eisenbahnsektor widerspiegeln:
Diese Bereiche werden durch Model-Based Design vollständig abgedeckt. Model-Based Design unterstützt naturgemäß die Ziele der EN 50716. Es behandelt Modelle als primäre Konstruktionsartefakte und unterstützt die Anforderungserfassung und Architektur, das Komponentendesign, die Codegenerierung, die Verifizierung, die Integration und die Wartung. Model-Based Design verbessert die Kommunikation, Rückverfolgbarkeit, Wiederholbarkeit und die Erstellung von Nachweisen über den gesamten System- und Softwarelebenszyklus hinweg und ermöglicht gleichzeitig die praktische Anwendung formaler Methoden.
Das IEC Certification Kit (für IEC 61508, EN 50716 und verwandte Normen) beschreibt diese Unterstützung detailliert und stellt Werkzeugzertifikate und Bewertungsberichte der internationalen Zertifizierungsstelle TÜV SÜD zur Verfügung.
EN 50716 definiert einen strengen Prozess für eine strukturierte, nachvollziehbare und überprüfbare Entwicklung. Mit Model-Based Design können Organisationen die Empfehlungen des Standards mithilfe eines auf SIL zugeschnittenen, durchgängigen Referenz-Workflows erfüllen, der das gesamte System sowie die Aktivitäten der Softwareentwicklung, -verifizierung und -validierung abdeckt.
Abbildung 2: System- und Softwareentwicklungs- und Verifizierungsprozesse mit Simulink. Dieser Artikel konzentriert sich zwar auf die Softwareentwicklung, aber Sie können modellbasierte Systementwicklung mit System Composer und Simulink auch für Aktivitäten auf Systemebene (EN 50126) verwenden, wie auf der linken Seite des Workflow-Diagramms dargestellt.
In diesem Artikel liegt der Schwerpunkt auf:
Mit Requirements Toolbox™ können Sie textuelle Anforderungen strukturiert definieren und natürlichsprachliche Anforderungen durch Simulationsmodelle ergänzen. Dieser Ansatz ermöglicht eine klare und eindeutige Darstellung von funktionalen, Schnittstellen- und Sicherheitsanforderungen.
Durch die Gewährleistung einer robusten und bidirektionalen Rückverfolgbarkeit zwischen Anforderungen und Modellen, Modellelementen und Quellcode sowie entsprechenden Testfällen können Organisationen die Anforderungen der EN 50716 an transparente Dokumentation und strenge Verifizierung während des gesamten Softwarelebenszyklus erfüllen.
Abbildung 3: Anforderungsspezifikation und Rückverfolgbarkeitsmanagement mit Requirements Toolbox.
Model-Based Design unterstützt die hierarchische Architekturmodellierung und ermöglicht es Teams, komplexe Software in strukturierte Schichten zu zerlegen, in denen Verhaltensweisen und Schnittstellen frühzeitig durch das Modellierungswerkzeug und durch automatisierte Konsistenzprüfungen validiert werden können. Dieser strukturierte Ansatz macht die Zuordnung von Anforderungen zu Komponenten von Natur aus nachvollziehbar und analysierbar und gewährleistet so, dass jede Anforderung mit einem klar definierten Architekturelement (z. B. einer Softwarekomponente) verknüpft ist und durch nachfolgende Tests systematisch verifiziert werden kann.
Abbildung 4: Modellierung von Softwarearchitekturentwürfen mit Block-, Aktivitäts- und Sequenzdiagrammen unter Verwendung von System Composer.
Sie können Softwarekomponentenentwürfe mithilfe von Zustandsautomaten (Stateflow®), Signalflussdiagrammen (Simulink®) oder MATLAB®-Code modellieren oder über einen hybriden Ansatz, der Simulink, Stateflow und MATLAB kombiniert. Model-Based Design ermöglicht es Entwicklern, Systemübergänge, Ereignisbehandlung und deterministisches Ausführungsverhalten präzise festzulegen.
Model-Based Design unterstützt auch die statische Analyse auf Modellebene, wobei Sie die Simulink Check™-Funktionen nutzen können, um Modelle anhand etablierter Modellierungsrichtlinien zu überprüfen. Parallel dazu können Sie Modellsimulationen durchführen, um bestehende logische Fehler, falsche Annahmen und Schnittstelleninkompatibilitäten aufzudecken. Durch die Kombination von Simulation und statischer Modellanalyse werden Probleme bereits bei ihrem ersten Auftreten und lange vor der Softwareimplementierung oder der Verfügbarkeit von Hardwareprototypen aufgedeckt, wodurch Nacharbeiten im weiteren Verlauf deutlich reduziert und die Entwicklungseffizienz gesteigert werden.
Abbildung 5: Model-Based Design-Optionen unter Verwendung eines Datenflussdiagramms (Simulink), eines Zustandsautomaten (Stateflow) und MATLAB Codes.
Darüber hinaus können Sie mit der physikalischen Domänenmodellierung in Simulink und Simscape™ eine Closed-Loop-Simulation der Anlagendynamik durchführen, um die Softwarekomponentenmodelle entsprechend anzupassen oder zu optimieren. Bei späteren Integrationsaktivitäten ermöglichen Closed-Loop-Simulationen die Erfassung der Auswirkungen von Motor, Bremsen und Umgebung auf das Gesamtsystem.
Mit Embedded Coder® lässt sich in Simulink unkompliziert C/C++ Implementierungscode aus detaillierten Komponentenentwürfen generieren. Dadurch wird sichergestellt, dass die diskrete Logik und das Verhalten des Modells auch in der Produktionssoftware Anwendung finden. Diese automatische Codegenerierung entspricht den Anforderungen an das T3-Werkzeug gemäß EN 50716, reduziert den manuellen Codierungsaufwand und eliminiert viele Arten von Fehlern bei der manuellen Codierung. Gleichzeitig werden deterministische, analysierbare Implementierungen erzeugt, die für sicherheitskritische Software geeignet sind.
Abbildung 6: Ansicht des Modells und des generierten Codes nebeneinander mit durchgängiger Rückverfolgbarkeit.
Ergänzend zu diesem Arbeitsablauf bieten Model-in-the-Loop (MIL)-, Software-in-the-Loop (SIL)- und Processor-in-the-Loop (PIL)-Tests eine skalierbare Verifikationsstrategie, die mit der funktionalen Verifikation auf Modellebene beginnt, zur Ausführung des generierten Codes in einer simulierten Umgebung übergeht und mit der Ausführung des Codes auf dem Zielprozessor abschließt. Der Übergang zwischen MIL, SIL oder PIL erfordert minimalen Aufwand, unterstützt eine hohe Wiederverwendung von Testfällen und trägt zum Vertrauen in Korrektheit und Konsistenz über den gesamten Entwicklungslebenszyklus hinweg bei. Schließlich kann die Hardware-in-the-Loop-Testung (HIL) auf die Implementierung der Produktionshardware folgen, indem Ihr Closed-Loop-Anlagenmodell auf Echtzeithardware ausgeführt wird.
Zu diesem Zweck können Sie Simulink Test™ verwenden, um alle Testmodi innerhalb eines einheitlichen Frameworks zu verwalten und zu orchestrieren. Dies ermöglicht einen konsistenten Ansatz für die Testdefinition, -ausführung und -berichterstattung über MIL, SIL, PIL und HIL hinweg. Darüber hinaus ermöglicht Simulink Coverage™ die Beurteilung der strukturellen Abdeckung als objektiven Nachweis für den Abschluss von Tests anhand von Anweisungs-, Zweig- und MC/DC-Metriken.
Auf der Ebene der Softwarearchitektur orchestrieren Modelle Integrationsszenarien, indem sie definieren, wie Komponenten über gut strukturierte Schnittstellen, Ausführungsabläufe und Kommunikationsmuster (unter Verwendung von Sequenz- und Aktivitätsdiagrammen) interagieren. Simulationen auf Architekturebene ermöglichen es Teams, das Integrationsverhalten frühzeitig zu validieren, indem sie die gesamte Anwendungssoftwarestruktur unter realistischen Bedingungen hinsichtlich Zeitplanung, Ereignisbehandlung und Datenaustausch testen. Der simulationsbasierte Ansatz hilft dabei, architektonische Mängel, Schnittstelleninkompatibilitäten und Integrationsrisiken frühzeitig aufzudecken, wenn Designänderungen noch weitaus weniger kostspielig sind.
Die automatisierte Generierung und Ausführung von Testfällen verstärkt diese Architekturvalidierung zusätzlich. Durch die direkte Ableitung von Tests aus Anforderungen (unter Verwendung von Spezifikationsmodellen) und dem Verhalten auf Architekturebene können Teams eine konsistente Abdeckung erreichen und die Rückverfolgbarkeit sicherstellen, was mit dem Schwerpunkt der EN 50716 auf systematischer Verifikation übereinstimmt.
Die durchgängige Rückverfolgbarkeit – von den Anforderungen über Architektur- und detaillierte Entwurfsmodelle bis hin zum generierten Code, den Verifizierungstests und den Ergebnissen – bietet eine strukturierte Beweiskette, die eine strenge Validierung unterstützt. Indem sichergestellt wird, dass jede Anforderung explizit mit den entsprechenden Modellelementen, Implementierungsartefakten und Testergebnissen verknüpft ist, können Entwicklungsteams eine klare, nachvollziehbare Begründung dafür liefern, wie die Absichten auf Systemebene im Softwareverhalten umgesetzt werden. Diese Rückverfolgbarkeit ist für sicherheitskritische Bereiche unerlässlich, da sie eine systematische Wirkungsanalyse, eine konsistente Verifizierung und eine transparente Begründung von Designentscheidungen über den gesamten Softwarelebenszyklus hinweg ermöglicht, einschließlich kontrollierter Aktualisierungen, Analyse der Auswirkungen von Änderungen und langfristiger Wartbarkeit.
Gemäß EN 50716 werden formale Methoden für Software der SIL-Klassen 1 bis 4 dringend empfohlen. Mit Simulink Design Verifier™ können Sie formale Methoden auf Modellebene anwenden, um die Softwaresicherheit zu stärken, indem Sie wichtige Eigenschaften wie Sicherheitsinvarianten, das Fehlen von Laufzeitfehlern, die Korrektheit von Zustandsübergängen und die Einhaltung von Architekturvorgaben mathematisch verifizieren.
Diese Nachweise ergänzen Simulation und Tests, indem sie Garantien bieten, die durch Tests allein nicht erreicht werden können. Dadurch wird das Vertrauen in die Korrektheit und Robustheit des Komponentendesigns erhöht, bevor der Code generiert wird. Beispielsweise ist es in einer Anwendung zur Steuerung von Zügen mithilfe formaler Methoden möglich, mathematisch zu beweisen, dass unsichere Moduskombinationen, wie etwa die Aktivierung der Traktion bei gleichzeitig geöffneten Türen oder die Umgehung der Bremsüberwachung während der Fahrt, unter allen gültigen Betriebsbedingungen, einschließlich Fehlerszenarien, nicht erreichbar sind. In ähnlicher Weise kann eine formale Analyse der Geschwindigkeitsregelungslogik beweisen, dass die Traktionsbefehle stets die Geschwindigkeitsbegrenzungen und Sicherheitsbeschränkungen einhalten und zuverlässig unterdrückt werden, wenn Bedingungen mit höherer Priorität wie Bremsen, Verlust der Überwachung oder Modusübergänge auftreten.
Abbildung 7: Mit Simulink Design Verifier können Sie formale Methoden auf Modellebene anwenden, um Sicherheitseigenschaften nachzuweisen. Dieses Beispiel zeigt den formalen Nachweis der sicheren Erzeugung und Übertragung von Bewegungsberechtigungen (MA) durch das Funkblockzentrum (RBC).
Mit Polyspace®-Produkten können ähnliche Bewertungen der Qualität, Robustheit und insbesondere von Laufzeitfehlern sowohl im generierten als auch im handgeschriebenen Code vorgenommen werden.
EN 50716 legt explizite Anforderungen für die Verwendung von Hilfsprogrammen und Programmiersprachen bei der Entwicklung von Eisenbahnsoftware fest und erkennt an, dass diese Programme die Sicherheit und Integrität der resultierenden Software beeinflussen können. Die Norm verlangt, dass Entwicklungs-, Verifizierungs- und Codegenerierungswerkzeuge gut integriert sind und dass die Werkzeugauswahl und -verwendung begründet und kontrolliert werden.
Außerdem werden die Tools nach ihrem potenziellen Einfluss auf die ausführbare Software in die Klassen T1, T2 und T3 eingeteilt. Werkzeuge, die direkt oder indirekt Fehler verursachen können (d. h. T2- und T3-Werkzeuge), müssen durch dokumentierte Nachweise gestützt werden, die dem Integritätsniveau der Software (Basic Integrity bis SIL 4) angemessen sind.
Das IEC Certification Kit (für IEC 61508, EN 50716 und verwandte Normen) unterstützt die Einhaltung dieser Anforderungen direkt durch die Bereitstellung von Werkzeugklassifizierungs- und Präqualifizierungsartefakten, TÜV SÜD-Zertifikaten und Bewertungsberichten, Validierungstest-Suites und Vorlagen, die an die spezifische Werkzeugnutzung Ihres Projekts angepasst werden können. Dadurch verringert sich der Aufwand, der erforderlich ist, um den Einsatz von Model-Based Design, Codegenerierung und Verifizierungswerkzeugen gemäß EN 50716 zu rechtfertigen und zu dokumentieren, erheblich.
Das IEC Certification Kit bietet ein Zuordnungsdokument von den Methoden und Techniken der EN 50716 zu Anwendungsfällen des Model-Based Designs. Die folgende Tabelle ist diesem Dokument entnommen.
Tabelle A.5 – Verifizierung und Prüfung
| Technik/Maßnahme | Anwendbare Model-Based Design-Tools und -prozesse | Kommentare |
|---|---|---|
| 1. Formaler Beweis | Simulink – Model Verification-Blockbibliothek | Mithilfe von Model Verification-Blöcken lassen sich Software-Sicherheitsanforderungen und andere Modelleigenschaften formalisieren. |
| Simulink Design Verifier – Eigenschaftsnachweis, Erkennung von Designfehlern | Der Eigenschaftsnachweis kann verwendet werden, um Modelleigenschaften mithilfe formaler Verifikationstechniken zu überprüfen. Die Fehlererkennung im Design kann ein Modell analysieren, um die folgenden häufigen Designfehler zu erkennen: Integer-Überlauf, Division durch Null, tote Logik und Assertionsverletzungen. | |
| Polyspace Code Prover und Polyspace Code Prover Server – Codeverifizierung | Die Laufzeitfehlererkennung kann C- oder C++-Code analysieren, um Softwarefehler zu identifizieren, die während der Laufzeit auftreten könnten. Polyspace Code Prover und Polyspace Code Prover Server bieten eine Codeverifizierung, die das Fehlen von Überläufen, Divisionen durch Null, Zugriffen auf Arrays außerhalb der Grenzen und bestimmten anderen Laufzeitfehlern im Quellcode beweist. Polyspace Code Prover und Polyspace Code Prover Server verwenden formale Methoden, die auf abstrakter Interpretation basieren, um Code zu verifizieren. | |
| 2. Statische Analyse | Simulink Check – Model Advisor-Checks | Mit Model Advisor kann die Einhaltung des Modellierungsstandards überprüft werden. Siehe Tabelle A.19 (2) Checklisten. |
Die Norm EN 50716 erkennt die möglichen komplexen Wechselwirkungen zwischen Cybersicherheit und funktionaler Sicherheit in vernetzten Eisenbahnsystemen an. Beispielsweise können Cybersicherheitsbedrohungen die funktionale Sicherheit direkt beeinträchtigen, und Cybersicherheitsmaßnahmen können nachteilige Folgen für die Sicherheit haben. Daher empfiehlt EN 50716, Sicherheits- und Schutzmaßnahmen in Einklang zu bringen und nennt IEC 62443 und CLC/TS 50701 als geeignete Normen zur Behandlung von Cybersicherheit.
Model-Based Design und Model-Based Systems Engineering mit Simulink und System Composer™ bieten eine praktische Möglichkeit, die beiden Bereiche durch ein gemeinsames, ausführbares Systemmodell über den gesamten Lebenszyklus hinweg aufeinander abzustimmen. Sicherheitsrelevante Funktionen, Systemschnittstellen und betriebliche Annahmen können zusammen mit Cybersicherheitsressourcen und potenziellen Cybersicherheitsangriffsflächen modelliert werden. Das gemeinsame Modell ermöglicht die frühzeitige Erkennung von Wechselwirkungen, unterstützt kombinierte oder sequentielle Gefahren- und Bedrohungsanalysen und erlaubt es Ingenieuren, schädliche Zustände zu simulieren, um deren Auswirkungen auf die Sicherheit zu beurteilen.
Auf Softwareebene können Sicherheitsfunktionen wie Überwachung, Plausibilitätsprüfungen, Nachrichtenvalidierung, Authentifizierungslogik und Anomalieerkennung im selben Architekturkontext gemeinsam entwickelt und evaluiert werden. Die kontinuierliche Verifizierung mittels statischer Modell- und Codeanalyse, Simulation und In-the-Loop-Tests trägt dazu bei, dass sowohl die Sicherheits- als auch die Cybersicherheitsanforderungen erfüllt werden und im Zuge der Weiterentwicklung des Designs aufeinander abgestimmt bleiben. Darüber hinaus verbessert die integrierte Rückverfolgbarkeit von Anforderungen über Modelle bis hin zu Testergebnissen die domänenübergreifende Zusammenarbeit zwischen System-, Sicherheits- und Schutzentwicklungsteams.
Model-Based Design begegnet den in EN 50716 identifizierten Herausforderungen im Bereich KI und maschinelles Lernen, indem es die Verifizierung auf Systemebene und die Generierung von Nachweisen ermöglicht, die die begrenzte strukturelle Transparenz des Machine Learning mindern. Die Integration von Komponenten des Machine Learning in ausführbare Simulink-Modelle unterstützt anforderungsbasierte und szenariobasierte Tests, Szenarioabdeckungsanalysen und Closed-Loop-Validierung über definierte operative Designdomänen hinweg. Darüber hinaus ermöglicht die Simulation die Untersuchung von Betriebsbedingungen, die über die Trainingsdaten hinausgehen, was wiederum zu einem Vertrauen in die Vollständigkeit der Daten führt. Um insbesondere die Robustheit zu verbessern, unterstützen systematische Störungsanalysen und Fehlereinspeisungstests mit Simulink Fault Analyzer™ die Bewertung von adversarialen Eingaben und Verteilungsverschiebungen.
Die Integration von Modellen, Codegenerierung, statischer Modell- und Codeanalyse, Tests mit Abdeckung, automatisierter Testfallgenerierung und formalen Methoden bildet einen umfassenden Ansatz, um die anspruchsvollen Anforderungen der EN 50716 für die Entwicklung von Eisenbahnsoftware zu erfüllen. Durch die Gewährleistung durchgängiger Rückverfolgbarkeit und den Einsatz fortschrittlicher Hilfsprogramme können Entwicklungsteams robuste, sichere und überprüfbare Softwarelösungen liefern. Diese strukturierte Methodik erleichtert nicht nur die Einhaltung der Vorschriften, sondern verbessert auch die langfristige Wartungsfreundlichkeit und Transparenz und trägt letztendlich zur Zuverlässigkeit und Sicherheit von Eisenbahnsystemen bei.
Veröffentlicht 2026
